Kraken: 无文件APT攻击滥用Windows错误报告服务
发布时间：2025-11-05 09:19:51 来源：云智核 作者：数据库
图 15: 解析Imports和创建新线程
Final Shell code
Final shellcode是无文误报务一个指令集合，用来对硬编码的攻击告服域名进行HTTP 请求来下载恶意payload 并注入到进程中。
首先，滥用调用LoadLibraryA 来加载Wininet API：
图 16: 加载Wininet
然后，无文误报务构建发起HTTP 请求所必须的攻击告服函数调用集，包括InternetOpenA、滥用InternetConnectA、无文误报务InternetOpenRequestA 和 InternetSetOptionsExA：
图 17: HttpOpenRequestA
然后，攻击告服创建一个HTTP 请求并通过调用HttpSendrequestExA 来发送。滥用请求的无文误报务URL 是http://www.asia-kotoba[.]net/favicon32.ico ：
图 18: HttpSendRequestExA
然后检查HTTP 请求是否成功。如果HTTP 请求不成功，攻击告服就调用ExitProcess 来停止该进程。滥用
图 19: 检查HTTP请求成功
如果HTTPSendRequestExA 的无文误报务返回值是true，云南idc服务商也就是攻击告服说请求是成功的，代码会继续下一步。滥用
然后调用VirtualAllocExA 来分配内存区域，并调用InternetReadFile 来读取数据并写入到分配的内存中。
图 20: InternetReadFile 调用
最后，进入分配的内存区域来执行。
由于URL 已经无法访问，因此无法提取shellcode进行进一步分析。
APT32？
目前还没有关于该攻击所属攻击组织的足够证据。但研究人员发现了一些与APT 32相关联的证据。APT32 以使用CactusTorch HTA来释放Denis Rat 变种而知名。但是因为无法获得final payload因此无法进一步分析。源码库用来保存恶意文件和文档的域名的注册地址为胡志明市，而APT 32也是位于胡志明的。因此，研究人员分析初步判断该攻击活动与APT 32有关联。
图 21: 尝试连接远程站点的诱饵文件
本文翻译自：https://blog.malwarebytes.com/malwarebytes-news/2020/10/kraken-attack-abuses-wer-service/如若转载，请注明原文地址
【编辑推荐】
适合Vue用户的React教程，你值得拥有 微信视频号的“长短”之争 苹果封杀云游戏服务引众怒，被指扼杀竞争 臭打游戏的信息，泄漏了也没人要？ 5G网络的优势和缺点 二维码：一种隐秘的安全威胁- 手机进水了怎么办？（教你快速排水的方法，让手机重获新生！）
- 小安时代（一场，改变世界的力量）
- 拍摄模特的技巧与经验分享（提升拍摄模特作品质量的关键要点）
- MacU盘装Win教程（轻松学会在Mac电脑上使用U盘安装Windows系统）
- 远程桌面设置教程（轻松掌握远程桌面设置，实现远程访问需求）
- 神舟精盾k480装机教程
- 金士顿群联PS2251量产教程（教您如何使用金士顿群联PS2251芯片进行数据存储设备的量产与管理）
- 以众生数据为主题的文章（揭示众生数据的价值与挑战）
- 华为电脑音响使用教程——打造完美音频体验（掌握华为电脑音响的使用技巧，享受高品质音频效果）
- 大白菜win7专业版教程（详细步骤和操作技巧助你快速上手，成为win7专业版高手）
- U盘制作系统教程18（一步步教你如何使用U盘制作自己的便携式系统）
- AIDA64使用教程（一站式解决方案，深入剖析计算机硬件与软件性能）
- 使用U盘启动安装系统教程（简单易懂的U盘启动安装系统指南）
- 奥美世纪（以科技、创意与策略融合，塑造品牌未来）
- 自制迷你电脑盒子教程大全（打造个性化的迷你电脑盒子，实现您的创意想法）
- 使用U盘重装Win7系统的详细教程（U盘Win7重装系统，一键解决电脑问题）
- 使用U盘装机大师教程Win7完全指南
- 三星机床的优势与应用（解析三星机床在工业生产中的卓越性能及广泛应用领域）
- 如何使用隐藏分区删除教程（隐藏分区删除数据的有效方法及注意事项）
- 教你如何使用PE删除硬盘系统（简明易懂的PE删除硬盘系统教程）
随便看看
- Copyright © 2025 Powered by Kraken: 无文件APT攻击滥用Windows错误报告服务,云智核 滇ICP备2023006006号-28sitemap